В Германии вступил в силу закон о реализации NIS2: что спросить у облачного провайдера

6 декабря 2025 года в Германии вступил в силу закон о реализации европейской директивы NIS2. Он вводит дополнительные требования к кибербезопасности для определенных организаций, в том числе некоторых поставщиков облачных услуг и операторов дата-центров. Однако требования распространяются не на каждого провайдера автоматически: это зависит от вида услуг и критериев, установленных законом.

Для украинского бизнеса это повод внимательнее оценить инфраструктуру, от которой зависят его сервисы и данные. Само размещение в облаке не гарантирует, что после сбоя все удастся быстро восстановить. Сервер может выйти из строя, дата-центр — столкнуться с перебоями электропитания, а резервная копия — не содержать нужных данных или конфигураций.

• На кого распространяются требования
• Резервная копия сама по себе не гарантирует восстановление
• Почему второй сервер не всегда спасает от аварии
• Кто отвечает за безопасность
• Что произойдет, если сервис перестанет работать
• Пять вопросов, которые стоит задать провайдеру

На кого распространяются требования

Применимость NIS2 зависит от конкретного вида деятельности, категории организации и установленных законом критериев. Поэтому нельзя определить, подпадает ли компания под требования, только по тому, что она называет себя облачным провайдером или оператором дата-центра.

Регламент ЕС 2024/2690 уточняет требования к управлению киберрисками и критерии значимости инцидентов для ряда цифровых услуг, включая облачные и дата-центры. Он применяется к организациям, которые входят в сферу действия NIS2. Среди затрагиваемых тем — резервное копирование, реагирование на инциденты, контроль доступа и безопасность поставщиков.

Даже если конкретный провайдер не подпадает под прямое регулирование, клиенту все равно важно оценивать связанные с ним риски. Особенно если сама компания должна соблюдать требования NIS2.

Резервная копия сама по себе не гарантирует восстановление

Компания может сохранять данные виртуальных машин, но не резервировать необходимые конфигурации. Тогда данные после аварии удастся вернуть, однако для полноценного запуска сервисов потребуется дополнительная работа. Поэтому стоит выяснить, что именно входит в резервное копирование, где хранятся копии и проводятся ли тесты восстановления.

Важно также определить два показателя. RPO показывает, какой объем данных компания готова потерять, а RTO — сколько времени может занять восстановление системы. Их значения зависят от конкретной системы и условий услуги.

Отдельно уточните, кто отвечает за резервное копирование — клиент или провайдер. Например, при аренде виртуального сервера оно не всегда входит в базовую услугу.

Почему второй сервер не всегда спасает от аварии

Два сервера могут работать независимо друг от друга, но использовать один коммутатор или общую систему питания. Если такой компонент выйдет из строя, остановиться могут оба.

Поэтому при оценке отказоустойчивости важно учитывать не только количество серверов, но и резервирование электропитания, сетевых подключений и систем хранения. Если бизнесу необходимо продолжать работу при серьезной аварии, стоит выяснить, предусмотрено ли восстановление на другой площадке.

Кто отвечает за безопасность

При использовании облака часть мер безопасности выполняет провайдер, а часть остается на клиенте. Распределение ответственности зависит от услуги и договора. Например, при аренде VPS клиент обычно сам настраивает операционную систему, приложения и учетные записи. В управляемых сервисах провайдер может взять часть этих задач на себя.

До заключения договора стоит уточнить, кто устанавливает обновления, управляет административным доступом, отслеживает подозрительную активность и участвует в восстановлении после инцидента.

Также полезно проверить, поддерживает ли услуга многофакторную аутентификацию, можно ли разграничивать права доступа и как отключаются учетные записи сотрудников, которым доступ больше не нужен.

Если компания сама подпадает под NIS2, передача систем внешнему провайдеру не снимает с нее собственных обязанностей по управлению киберрисками.

Что произойдет, если сервис перестанет работать

Еще до аварии стоит выяснить, как клиент узнает о проблеме и куда обращаться, если обычная поддержка недоступна. В договоре или SLA проверьте условия доступности услуги, часы работы поддержки, порядок эскалации и правила информирования об инцидентах.

NIS2 устанавливает сроки, в которые организации, подпадающие под требования директивы, должны сообщать о значимых инцидентах компетентным органам. Это не задает автоматически сроки уведомления клиентов. Порядок информирования клиента следует проверить отдельно в договоре и SLA.

Кроме того, стоит узнать, от каких внешних поставщиков зависит работа сервиса. Это могут быть операторы связи, DNS-провайдеры или поставщики защиты от DDoS-атак.

Пять вопросов, которые стоит задать провайдеру

Перед подписанием или продлением договора можно задать провайдеру несколько вопросов:

1. Где размещены основные системы и резервные копии?
2. Что входит в резервное копирование и как часто проверяется восстановление?
3. Какие обязательства по доступности и восстановлению предусмотрены для выбранной услуги?
4. Какие меры безопасности выполняет провайдер, а за что отвечает клиент?
5. Как провайдер сообщает клиентам о серьезных инцидентах и куда обращаться в такой ситуации?

Закон о реализации NIS2 не исключает аварии и кибератаки. Он устанавливает требования к управлению связанными с ними рисками для организаций, на которые распространяется. Клиенту облачного провайдера важно заранее выяснить, как распределена ответственность, какие меры защиты предусмотрены и как будут восстанавливать сервисы.